6.6.1 Privacy-impact Assessment

De rijksoverheid is (vanaf 1 september 2013) verplicht om bij nieuwe regelgeving met mogelijke privacyaspecten, een zogenaamde Privacy-Impact Assessment uit te voeren. Deze eis vloeit voort uit een regeerakkoord. 1Voor het uitvoeren daarvan heeft het kabinet een toetsmodel vastgesteld dat toegepast moet worden.2 De PIA is erop gericht in een vroeg stadium de privacy risico’s op een gestructureerde en heldere manier in kaart te brengen. De toets ziet niet op het functioneren en eventuele naleving van de privacywet- en regelgeving. Het is geen compliance toets.3 Voor de rijksoverheid is dit middel inmiddels standaard voorgeschreven bij de ontwikkeling van nieuwe wet- en regelgeving die privacyaspecten kan raken. De PIA krijgt in de toekomst een bredere toepassing. De Algemene Verordening op de Gegevensbescherming kan de toets namelijk ook voor andere organisaties voorschrijven (zie par. 6.6.2).4 Die hebben dan de verantwoordelijkheid om van tevoren de risico’s voor het verwerken van persoonsgegevens vast te stellen. De PIA kan hiervoor als tool worden gebruikt.5 Ter illustratie noem ik een recente toepassing van de PIA tijdens de parlementaire behandeling voor het creëren van een grondslag voor informatie-uitwisseling. Illustratief noem ik de woorden van de staatssecretaris van Financiën in de memorie van toelichting: met ‘de PIA is gekeken naar de noodzaak van de gegevensverwerking en zijn op gestructureerde wijze de implicaties van de maatregel in kaart gebracht.’6 Vervolgens geeft de bewindsman de implicaties van de voorgestelde wetswijziging weer voor de privacy. Die zien onder andere op de beoordeling van de proportionaliteit en de subsidiariteit. Een collectieve belangenafweging derhalve bij aanvang van een wettelijke regeling tot gegevensverstrekking

De beperking ligt in de reikwijdte van het bepalen van de impact voor de bescherming van persoonsgegevens. Daarnaast geeft een PIA alleen de impact op het moment van wetgeving. De huidige Wbp (en vanaf 25 mei 2018 de AVG) is bepalend. Het begrip privacy is echter ruimer dan alleen persoonsgegevens en kan ook van invloed zijn op zuivere objectgegevens.

Een PIA geeft bij aanvang – en alleen van nieuwe wettelijke verplichtingen en samenwerkingsverbanden – een beoordeling. Een PIA geeft echter geen invulling aan de individuele gegevensverstrekking door de Belastingdienst aan andere bestuursorganen anders dan het scheppen van de waarborgen voor het kader waarbinnen dat bij aanvang moet plaatsvinden.